Las External RoleTemplates de Rancher pueden conducir a la escalada de privilegios

Un atacante que explote esta vulnerabilidad podría obtener acceso no autorizado a recursos y funcionalidades dentro del clúster Kubernetes gestionado por Rancher. La escalada de privilegios permite al atacante realizar acciones que normalmente estarían restringidas a usuarios con roles más elevados, como modificar configuraciones críticas, acceder a datos sensibles o incluso tomar control del clúster. El impacto potencial es significativo, especialmente en entornos donde Rancher se utiliza para gestionar clústeres de producción con aplicaciones de misión crítica. La capacidad de escalar privilegios podría permitir el movimiento lateral dentro del clúster, comprometiendo otros pods y servicios. La superficie de ataque se amplía significativamente si el RoleTemplate vulnerable se utiliza en múltiples clústeres o entornos.

Organizations heavily reliant on Rancher for Kubernetes cluster management, particularly those utilizing external RoleTemplate objects for managing access control, are at heightened risk. Shared hosting environments where multiple tenants share a Rancher instance are also particularly vulnerable, as a compromised RoleTemplate could impact multiple tenants.

• kubernetes / rancher:

kubectl get roletemplate --all-namespaces -o yaml | grep external: true

• kubernetes / rancher:

journalctl -u rancher -f | grep "RoleTemplate objects when external=true"

• kubernetes / rancher:

# Check for unusual role assignments
kubectl get rolebindings -A -o yaml | grep -E 'role:.*external=true'

1. 2025-04-16Disclosure

   disclosure

1. Reservado2023-05-04
2. Publicada2025-04-16
3. Modificada2026-02-26
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2023-32197 es actualizar Rancher a la versión 2.8.5 o superior. Si la actualización inmediata no es posible debido a restricciones de compatibilidad o ventanas de mantenimiento, se recomienda revisar y restringir el uso de objetos RoleTemplate con external=true. Considere implementar políticas de control de acceso más estrictas para limitar los privilegios otorgados a los usuarios y roles. Monitoree los logs de Rancher en busca de actividades sospechosas relacionadas con la manipulación de RoleTemplate. Si se sospecha de una intrusión, se recomienda aislar el clúster afectado y realizar una investigación forense. Después de la actualización, confirme la mitigación revisando la configuración de RoleTemplate y verificando que el parámetro external esté configurado correctamente.